Sécurité des données : CIA

Synthèse des Notions Clés en Sécurité des Données

Cette note résume les concepts fondamentaux, les méthodes et les stratégies concernant la confidentialité, l'intégrité et la disponibilité des données, éléments cruciaux de la cybersécurité.

1. Notions de Base sur la Sécurité des Données

• Définition de la Sécurité des Données : Ensemble de mesures pour protéger les informations numériques contre le vol, la corruption, la perte ou l'accès non autorisé.

• Triple Objectif de la Sécurité (CIA ou CID) :

  • Confidentialité : Seules les personnes autorisées peuvent accéder aux données.

  • Intégrité : Garantie de l'exactitude, de la fiabilité et de la protection contre toute altération non autorisée.

  • Disponibilité : Les données doivent être accessibles en temps voulu aux utilisateurs légitimes.

• Menaces Typiques :

  • Internes : Erreurs humaines (mauvaises manipulations, suppressions accidentelles), abus de privilège, négligence (partage de mots de passe).

  • Externes : Phishing, attaques DDoS, Ransomware, injection SQL.

• Vulnérabilités Organisationnelles : Logiciels non mis à jour, ports ouverts inutilement, mots de passe par défaut, manque de segmentation réseau.

• Approches Globales :

  • Préventives : Contrôle d'accès (MFA), chiffrement, tests de pénétration, segmentation réseau.

  • Détectives : Surveillance et journalisation, détection d'intrusions (IDS/IPS), audits réguliers.

  • Correctives : Sauvegardes fiables, plan de reprise après sinistre (DRP), plan de continuité d'activité (PCA), mises à jour correctives rapides.

2. Intégrité et Disponibilité des Données

2.1. Intégrité des Données

• Définition : Garantie que les données restent exactes, cohérentes, complètes et non altérées, qu'elles soient stockées, transmises ou traitées.

• Menaces : Altération accidentelle (bugs), altération intentionnelle (injection SQL), corruption en transit (pertes réseau).

• Méthodes de Protection :

  • Fonctions de Hachage Cryptographique : Transforment une donnée en une empreinte de taille fixe. Toute modification de la donnée entraîne une empreinte différente.

    • Exemples : SHA-2 (256/512), SHA-3. (MD5 et SHA-1 sont obsolètes).

  • Signatures Numériques : Mécanisme cryptographique pour garantir l'intégrité et authentifier l'auteur, basé sur le chiffrement asymétrique et le hachage.

    • L'expéditeur chiffre avec sa clé privée, le destinataire déchiffre avec la clé publique de l'expéditeur.

  • Contrôles de Versions et Journalisation : Suivi des modifications (historique des versions) et enregistrement des actions (logs) pour permettre un retour à un état correct.

    • Outils : ELK, Splunk; bases de données avec déclencheurs et procédures stockées.

2.2. Disponibilité des Données

• Définition : Capacité des systèmes et des données à être accessibles en permanence aux utilisateurs autorisés, au moment voulu.

• Menaces : Pannes matérielles, attaques informatiques (DoS/DDoS, ransomware), catastrophes naturelles, surcharge des systèmes.

• Méthodes de Protection :

  • Redondance : Stockage de multiples copies des données sur différents supports ou emplacements.

    • Permet une haute disponibilité et la tolérance aux pannes (réplication).

  • Équilibrage de Charge (Load Balancing) : Répartition du trafic ou des requêtes entre plusieurs serveurs pour optimiser les ressources et assurer la continuité des services.

  • Sauvegardes et Plans de Reprise après Sinistre (DRP) : Copie régulière des données stockée séparément, avec un plan documenté pour la restauration rapide après un incident majeur.

  • Cloud Computing : Fournit des ressources informatiques avec des garanties de haute disponibilité (réplication géographique, SLA).

    • Principaux fournisseurs : Microsoft Azure, Google Cloud Platform, Amazon Web Services.

3. Confidentialité des Données

• Définition : Garantir que seules les personnes, entités ou systèmes autorisés peuvent accéder aux données.

• Authentification : Processus de vérification de l'identité avant d'accorder l'accès.

• Principes Fondamentaux :

  • Moindre Privilège : Chaque utilisateur n'accède qu'aux ressources strictement nécessaires.

  • Séparation des Tâches : Éviter qu'une seule personne n'ait accès à toutes les ressources critiques.

• Menaces : Phishing, attaque par Brute Force, Keylogging.

• Méthodes de Protection :

  • Chiffrement : Transformation de données lisibles (texte clair) en données illisibles (texte chiffré) à l'aide d'un algorithme et d'une clé.

    • Symétrique : Même clé pour chiffrer/déchiffrer (AES, DES) – rapide, moins sécurisée.

    • Asymétrique : Couple clé publique/privée (RSA, ECC) – plus sécurisée, plus lente.

    • Utilisations : Chiffrement au repos (données stockées, ex: AES), chiffrement en transit (données réseau, ex: HTTPS, SSL/TLS).

  • Données à Caractère Personnel : Toute information permettant d'identifier directement ou indirectement une personne (nom, adresse IP, biométrie, etc.).

  • Anonymisation : Rendre impossible l'identification d'une personne de manière irréversible (suppression, généralisation, perturbation, masquage).

  • Pseudonymisation : Remplacer les identifiants personnels par des pseudonymes, permettant une liaison forte avec l'origine de la donnée, mais réversible (souvent via fonction de hachage).

4. Méthodes de Contrôle d'Accès

• DAC (Discretionary Access Control) : Le propriétaire d'une ressource décide qui y accède et avec quels droits (ACL).

  • Avantages : Simple, flexible pour l'utilisateur.

  • Limites : Peu adapté aux grandes organisations, vulnérable à la propagation de droits non maîtrisés.

• MAC (Mandatory Access Control) : Droits d'accès définis par une autorité centrale via des règles globales. Chaque utilisateur et ressource a un niveau de classification.

  • Avantages : Convient aux environnements sensibles (militaire), sécurité élevée.

  • Limites : Rigide, complexité d'administration.

• RBAC (Role-Based Access Control) : Droits attribués aux rôles et non directement aux individus. Les utilisateurs héritent des permissions de leur rôle.

  • Avantages : Facile à gérer dans les grandes organisations, favorise le moindre privilège.

  • Limites : Peut devenir rigide si trop de rôles, moins flexible que l'ABAC.

• ABAC (Attribute-Based Access Control) : Accès accordé ou refusé selon un ensemble d'attributs (utilisateur, ressource, environnement, contexte - ex: heure, lieu, appareil).

  • Avantages : Adapté aux environnements dynamiques (cloud, big data), politiques de sécurité contextuelles.

  • Limites : Complexité de mise en œuvre et d'administration.

5. Bonnes Pratiques et Stratégies de Gestion de la Confidentialité

• Authentification Multi-Facteurs (MFA) : Combine au moins deux types de facteurs pour vérifier l'identité.

  • Quelque chose que l'on sait : Mot de passe, code PIN.

  • Quelque chose que l'on possède : Smartphone, carte à puce, Yubikey.

  • Quelque chose que l'on est : Données biométriques (empreinte digitale, voix).

• Journalisation et Traçabilité des Accès : Enregistrement systématique des activités (qui, quoi, quand, où, comment) pour détecter des anomalies.

• Formation et Sensibilisation des Utilisateurs : Réduire le risque humain (erreurs, négligence, phishing) par une culture de sécurité, la reconnaissance des menaces et la promotion des bonnes pratiques.